审计视角下对加强基层行政事业单位内部控制规范的思考
内部控制“是在一定的环境下，单位为了提高经营效率、充分有效地获得和使用各种资源，达到既定管理目标，而在单位内部实施的各种制约和调节的组织、计划、程序和方法。”（1972 ASB《审计准则公告》），内部控制规范是行政事业单位部门进行正常经济业务活动的根本保障，其本质在于监督与制衡，可以覆盖政府部门管理活动的事前、事中和事后，特别是内部控制通过对规章和流程等的设定，达到提前预防和弱化风险的目的，在促进经济发展、预防腐败中发挥重要作用。
一、加强行政事业单位内部控制规范的背景
我国关于内部控制的规范政策，可以从财政部会同有关部门于2006年7月发起成立具有广泛代表性的企业内部控制标准委员会，研究推动企业内部控制规范体系建设问题算起，到2008年财政部、审计署等五部委正式发布的《企业内部控制规范》（财会〔2008〕7号），首先在上市公司开始施行，自此初步走向正轨，经过多年发展我国企业内部控制规范设计与运行、监管也逐渐趋向成熟。相应地，我国行政事业单位内部控制规范在这一阶段，主要还是依据会计法、预算法等法律法规和相关规定，由单位根据自身情况设计执行，可以具体参照的行政规章并未正式发布施行，基层行政事业单位内部控制规范随意性较大。
党的十八大提出“全面推进依法治国”，将依法治国方略提到了一个更新的高度。为配合这一重大治国方略，进一步提高行政事业单位内部管理水平，规范内部控制，加强廉政风险防控机制建设，财政部随即制定并发布了《行政事业单位内部控制规范（试行）》（财会〔2012〕21号，以下简称《单位内控规范》），自2014年1月1日起施行。自此，行政事业单位内部控制规范有了具体指引，可操作性、强制性、规范性都大大增强。
二、基层行政事业单位执行《单位内控规范》存在的问题
财政部自2012年11月底发布《单位内控规范》，预留了一年时间给各单位部门做好准备工作，并要求各级财政部门加以监督落实，从审计实践上看虽然 “……取得了初步成效。但也存在部分单位重视不够、制度建设不健全、发展水平不平衡等问题”，具体表现在：
（一）单位负责人对内部控制规范认识模糊
有的单位负责人对内部控制规范的全面性认识不足，甚至认为内部控制就是单位财务报销制度；有的对内部控制规范不健全的危害性没有正确评估，也有的对各内部控制规范的关联性、相互牵制性认识不足。
（二）内部控制规范存在设计缺陷
有的单位没有从单位层面、业务层面整体设计内部控制规范，造成规范缺失或碎片化，单位层面与业务层面脱节。另外一个比较明显的缺陷是，普遍缺乏信息内部公开的规范，没有按要求建立健全经济活动相关信息内部公开制度，根据国家有关规定和单位的实际情况，确定信息内部公开的内容、范围、方式和程序等。
（三）内部控制规范存在运行缺陷
运行缺陷一般是指控制执行者未按照内部控制规范要求执行或不具备有效执行控制的能力，导致控制目标无法实现。实践中，有的基层单位即使设计了相关控制，却未具体运用，形同虚设。
（四）内部控制规范风险评估不及时
随着国家经济建设的发展，各类经济活动越来越复杂，基层行政事业单位面临的各类潜在风险越来越多，当本单位业务面临变化时，没有建立定期评估机制，特别是没有对一些看似与经济活动无关，但实际运行后却会对经济活动产生很大影响的业务活动进行全面、系统和客观评估，这类业务的规范控制往往被忽略。
（五）财政部门监督检查验收力度不足
在财政部发布《单位内控规范》后的一年准备时间里，有的基层财政部门，虽然按要求专门召开有关学习宣传动员会，但没有很好的对基层行政事业单位进行必要的指导与验收，造成2014年正式执行《单位内控规范》时，不少基层单位内部控制规范的设计和运行较以前没什么大的变化，内控效果并不理想。
三、加强基层行政事业单位内部控制规范的建议
（一）强化基层行政事业单位内部控制规范的设计与规范运行
首先，基层行政事业单位应严格按照《单位内控规范》的基本要求，从单位层面对本单位内部控制规范作出总体规范要求，为业务层面实行具体内部控制打下必要基础。具体说，就是要建立健全集体研究、专家论证和技术咨询相结合的议事决策机制，根据有关规定和本单位实际情况确定重大经济事项的认定标准；注意发挥财务与各业务部门之间的协同作用；将单位经济活动的决策、执行和监督相互分离，确保不相容岗位相互制约和相互监督。
其次，在业务控制层面要依据对单位系统分析经济活动风险，确定风险点，以风险控制为导向，选择风险应对策略，加强对预算业务控制、收支业务控制、政府采购业务控制、资产控制、建设项目控制、合同控制等方面的具体设计，对于本单位尚未发生的业务，也要前瞻性地制定具体控制规范。
最后，财政部门必须加强对基层行政事业单位内部控制规范建设的指导与验收。审计机关应对财政部门实行再监督，同时，也应尽可能地发挥专业优势，配合基层行政事业单位建立好内部控制规范。
（二）规范审计对内部控制规范的监督
一是规范不同类型审计对内部控制规范审计的深度。
国家审计按其内容和目的不同，目前可以分为预算执行审计、经济责任审计、其他专项审计和专项调查。由于不同类型的审计目标、以及作业时间等各不相同，因此不可能要求所有不同类型审计对内部控制的审计深度、方式、评价都完全一致。
我们建议，主要在经济责任审计中对被审计对象的内部控制规范进行全面审计，这是由于中办、国办发布的经济责任审计规定，在有关条款中，明确规定了领导干部经济责任审计的主要内容必须包括内部控制规范审计；从另外一个角度来说，各单位或部门主要领导干部是“关键少数”，他们对规范的建立与执行情况负有主要责任，规范水平直接体现了单位主要负责人的管理水平。如果存在重大缺陷的单位，其主要领导人很难说是合格的。在其他专业审计或审计调查中，可以只对涉及与本项目重要事项有关的内部控制规范进行必要审计，但应严格遵守《国家审计准则》第七十五条“当审计人员认为存在某项内部控制设计合理且预期运行有效，能够防止重要问题的发生；或仅实施实质性审查不足以为发现重要问题提供适当、充分的审计证据，审计人员应当测试相关内部控制的有效性的”的规定。
二是审计人员必须从国家治理的高度来理解对内部控制规范的审计。
《单位内控规范》将内部控制定义为“单位为实现控制目标，通过制定制度、实施措施和执行程序，对经济活动的风险进行防范和管控”，相较于前面我们引用的内部控制含义而言，显然是狭义的，财政部的定义重点强调了内部控制对经济活动的风险进行防范和管控，ASB的定义则强调了内部控制是为达到既定管理目标，而在单位内部实施的各种制约和调节的组织、计划、程序和方法。后者的定义明显是广义的，他强调了内部控制对经济活动和业务活动的同时控制。
从审计实践中看，审计将自己的定位从单纯财务收支审计提升至积极参与国家治理，对国家生活中各个重要领域展开工作，积极发现体制机制中存在的弊端和漏洞和经济生活中的重大腐败线索，如在“在对稳调促惠防的跟踪审计”中，自上而下对各级政府组织落实宏观经济政策、工作机制的合理性进行了较为全面的评估审计，这些审计实际上很多就是针对单位部门内部控制或工作流程进行的。
可以看出，现代国家审计对内部控制规范审计实际上已开始执行广义范围的审计。
显然，《国家审计准则》在第六十一条从控制环境，风险评估，控制活动，信息与沟通，对控制的监督等五个方面对审计人员调查了解被审计单位相关内部控制及其执行情况进行了指导，但审计人员还是不能忽视对关键部门的重要工作流程的必要审计。
（三）规范对内部控制规范的审计评价
从我国企业内部控制审计的实践经验上看，作为中国版萨班斯法案的《企业内部控制基本规范和配套指引》对于内控审计报告的强制性披露不是一蹴而就的，而应分阶段、循序渐进。从2011年1月1日由双重上市公司（内地和香港）开始，到2014年上市公司必须强制性披露内部控制审计报告，我国的控制审计报告披露有一个明显的从“自愿披露”（鉴证报告）到“强制披露”（独立于财务审计报告的专门审计报告）的过程。
目前，《国家审计准则》对内部控制规范如何评价，没有做出具体指引。考虑到基层行政事业单位的内部控制规范建设正在进一步深化中，审计机关当前对其内部控制规范的建立与执行情况发布独立审计报告时机尚不成熟。
我们建议，在经济责任审计报告中的审计评价中，使用专门的段落来对被审计单位内部控制规范的建立与执行情况进行描述，对于发现由于内部控制规范设计缺陷或内部控制规范失效引起的重大问题，应将责任界定为单位主要负责人的直接责任，从而真正体现《单位内控规范》第六条“单位负责人对本单位内部控制的建立健全和有效实施负责”的严肃性，对于发现被审计单位在内部控制规范的建立与执行中存在的问题，统一放在审计发现主要问题部分的首个段落，以引起被审计单位重视，并引起报告使用者注意。在其他专业审计或审计调查发布的审计报告（调查报告）中，可以考虑只就审计所发现的内部控制规范在设计或运行中存在的重大缺陷或问题做出披露。
（四）促进审计报告使用者对内部控制评价意见的合理使用
审计机关要与组织部门等审计报告关键使用者及时沟通，向他们通报解释审计评价中的特定含义，对于本单位内部控制规范存在重大隐患或出现重大问题的负责人，建议在领导干部考核使用方面实行一票否决，以引起各基层单位负责人对内部控制规范的建立与执行方面的高度关注。
